Mode de transport o túnel: decidiu pel paquet, no pel diagrama
Transport i túnel descriuen què hi ha dins de l’ESP, no si hi intervé un amfitrió o una passarel·la. Tres preguntes determinen quin mode necessita un desplegament.
Els diagrames dels llibres de text aparellen el mode de transport amb dos amfitrions i el mode de túnel amb dues passarel·les, i aquesta regla es manté fins al primer desplegament que la trenca. El mode descriu què embolcalla el paquet ESP, no qui són els parells. Una passarel·la pot protegir el trànsit en mode de transport, i una parella d’amfitrions pot fer servir el mode de túnel si ho tria. Tres preguntes determinen què necessita un desplegament concret.
El mode és una disposició, no una topologia
En el mode de transport, la capçalera ESP va després de la capçalera IP i abans de la càrrega útil de la capa següent, de manera que la capçalera IP original queda a fora i visible. En el mode de túnel, el contingut protegit és un paquet IP complet, i una capçalera exterior nova anomena els dos parells IPsec.
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
Amb la confidencialitat seleccionada, la regió protegida en mode de túnel inclou aquesta capçalera IP interior, i per això una captura no us pot dir els punts finals reals sense claus. La capçalera exterior continua llegible en tots dos casos, i això és el que fa possible, al capdavall, la resolució de problemes.
Pregunta primera: què hi ha exactament dins de l’ESP
Mireu el paquet que produeix l’aplicació i pregunteu quina frontera el protegeix. Si la resposta és la càrrega útil de transport entre dues adreces que ja són correctes, el mode de transport encaixa sense inventar una segona capçalera. Si el contingut protegit necessita adreces pròpies, perquè els punts finals reals difereixen dels parells que porten el trànsit, el mode de túnel fa la feina. Els dos casos existeixen en la mateixa organització, i per això una sola declaració de política poques vegades ho cobreix tot.
Aquesta pregunta es pot respondre amb una captura i una taula d’encaminament. No es pot respondre amb un dibuix que etiqueti les caixes com a client i servidor. Una captura presa en qualsevol dels parells mostra en segons quin dels dos esteu mirant.
Pregunta segona: hi ha ja un túnel a dins
L2TP és el contraexemple històric que ho il·lustra. El servei transporta PPP dins d’una sessió L2TP, i IPsec protegeix aquest intercanvi; la disposició especifica el mode de transport, amb el mode de túnel permès com a opció. El resultat visible és un túnel a nivell de servei la protecció exterior del qual fa servir el mode de transport.
Així, la presència de la paraula túnel en la descripció d’un producte no diu res sobre el mode de la capa que hi ha a sota. Anoteu quina pregunta ho va resoldre, perquè el següent revisor preguntarà el mateix. Llegiu l’especificació d’aquesta combinació en lloc de raonar a partir del nom, ja que aquest hàbit evita la majoria de discussions sobre què ha de suportar un producte.
Pregunta tercera: què requereix el parell
Dos parells s’han de posar d’acord, i una proposta que ofereix un mode mentre l’altre requereix el segon falla durant la negociació en lloc de degradar-se en silenci. Pregunteu al propietari de l’extrem remot quin mode anomena la política, i comproveu la proposta en lloc del resum de la documentació.
Els entorns mixtos són habituals: una passarel·la acaba sessions de mode de transport per a un producte antic i sessions de mode de túnel per a un enllaç de seu. El mode és per associació, no per dispositiu. Demaneu la llista d’associacions en lloc del nom de la funció, perquè el nom viatja més de pressa que la configuració.
Llegir l’associació que existeix
Per a una revisió, llisteu els parells, el mode, els selectors i el protocol de la capa següent, i després afegiu qualsevol encapsulament que envolti el resultat. La traducció d’adreces afegeix la seva pròpia vista exterior i no és un mode; un flux traduït encara pot ser qualsevol dels dos. La llista és l’únic artefacte que mostra l’associació tal com està instal·lada i no tal com estava prevista.
Acabeu amb la pregunta d’encaminament i autorització, perquè una disposició de paquet correcta no us diu res sobre quins subxarxes estan permeses ni si existeix el camí de resposta. Aquestes viuen en la política i en la taula d’encaminament, i cap de les dues no canvia l’argument sobre el mode.